Composer只配http-proxy连不上Packagist，因其全量走HTTPS，必须同时配置https-proxy（值须为http://协议）才能建立CONNECT隧道；缺一则HTTPS请求静默直连导致卡在“Loading composer repositories”且无报错。
Composer只配http-proxy为什么连不上Packagist
因为Packagist全量走HTTPS，而http-proxy只处理HTTP请求；HTTPS请求必须走https-proxy字段建立CONNECT隧道，漏掉就静默fallback到直连——现象是卡在Loading composer repositories，无报错、无超时提示。
-
https-proxy值必须是http://开头（哪怕代理监听的是HTTPS端口），填https://127.0.0.1:8443或不带协议头都会失效 - 必须加
-g（全局配置），否则只写入当前项目composer.json，换目录即丢失 - 密码含
@、/、:要URL编码，例如pa@ss/word→pa%40ss%2Fword，可用php -r "echo rawurlencode('pa@ss/word');"生成 - Windows下若报
Could not write to file，检查%APPDATA%\Composer\config.json是否可写
NTLM代理环境下Composer怎么配
Composer原生不支持NTLM认证，设http-proxy后会直接返回407 Proxy Authentication Required或Unable to connect。这不是配置问题，是协议不兼容。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 必须引入中转代理工具，如
cntlm或px，让它们监听127.0.0.1:3128并处理NTLM握手 - 再把Composer的
http-proxy和https-proxy都指向这个本地地址：http://127.0.0.1:3128 - 临时验证：用
curl -x http://127.0.0.1:3128 -I https://packagist.org/packages.json，如果也报407，说明中转层没配通 - 别指望
HTTP_PROXY环境变量——Composer明确忽略它，只认自己的http-proxy字段
私有仓库HTTP Basic认证怎么安全存凭证
最常用也最容易出事的是http-basic认证，关键不在“怎么配”，而在“存在哪”。
- 项目级：在项目根目录放
auth.json，但必须加进.gitignore，否则密码进Git历史 - 全局级：用
composer config -g http-basic.repo.example.org username password，凭证存在~/.composer/auth.json（Linux/macOS）或%APPDATA%\Composer\auth.json（Windows） - 绝对不要写进
composer.json——明文暴露，毫无安全性可言 - 用户名含
@（比如邮箱）需URL编码，否则composer install会解析失败，报Invalid URL
镜像源+代理混用时签名验证为何失效
很多人配了阿里云镜像又加了代理，结果composer diagnose里signature verification: FAIL——不是镜像问题，是代理或配置破坏了签名链。
- 国内镜像必须同步
signature字段（仅Packagist官方源和新版阿里云/腾讯云镜像支持），旧镜像会自动降级为无校验模式 -
security.signature必须显式开启：composer config -g security.signature true - 镜像URL末尾必须带斜杠：
https://mirrors.aliyun.com/composer/✅，少斜杠就拼错路径导致404，进而跳过签名校验 - 代理若篡改响应头（比如删掉
X-Content-Signature）或中间劫持，也会让签名验证失败；建议先关代理验证镜像本身是否正常
https-proxy、NTLM靠中转、签名靠镜像完整性、凭证安全靠存储位置——任何一个环节断掉，错误表现都可能是“没反应”或“连不上”，而不是明确报错。 
